Klien VPN pada penghala lwn mod pelayan: apa yang setiap satu benarkan
Satu peranan penghala menghantar trafik anda ke pintu keluar jauh, satu lagi membenarkan anda masuk semula. Baca menu, kelayakan dan laluan pulang sebelum mengaktifkan mana-mana satu.
Anda log masuk ke penghala, membuka halaman VPN dan menemui dua tab yang kelihatan seperti ciri yang sama diterangkan dua kali: satu mahukan fail profil dari tempat lain, satu lagi mahukan anda menjana sijil dan memilih port. Ini bukan dua paparan bagi satu tetapan. Satu peranan membuat penghala mendail keluar, satu lagi membuatnya menjawab, dan satu peranti boleh melakukan kedua-duanya tanpa salah satu membantu yang lain. Berikut ialah cara membaca menu dan memutuskan pihak mana anda berada sebelum mengaktifkan apa-apa.
Buka menu VPN dan baca nama peranan
Mulakan dengan tajuk bahagian, bukan suis. Tab berlabel klien atau “sambung ke perkhidmatan VPN” menjangka profil yang diimport, fail konfigurasi atau set kelayakan yang dikeluarkan oleh orang lain. Tab berlabel pelayan menjangka anda mencipta identiti, memilih protokol dan port, dan biasanya mengeksport profil untuk setiap peranti yang akan bersambung.
Anggap baris pemasaran pada kotak sebagai belum disahkan sehingga menu sepadan dengannya. “Sokongan VPN” boleh bermaksud klien, pelayan, pembantu laluan protokol yang hanya memajukan paket kepada peranti di belakang penghala, atau aplikasi akses jauh proprietari tanpa sebarang profil standard. Hanya dokumentasi firmware membezakan kes-kes itu, dan nombor model pada pelekat tidak.
Mod klien: LAN anda keluar melalui pintu keluar orang lain
Dalam mod klien penghala berkelakuan seperti komputer riba yang menjalankan aplikasi VPN. Ia memerlukan protokol yang serasi, profil atau kelayakan daripada pengendali jauh, dan keputusan penghalaan tentang peranti hiliran mana yang menggunakan terowong. Banyak firmware menawarkan senarai dasar di mana anda menamakan alamat sumber atau antara muka yang perlu dihantar melalui terowong dan membiarkan selebihnya pada sambungan biasa.
Bahagian yang gagal secara senyap ialah sisi jauh. Titik akhir yang anda sambungi mesti memajukan trafik internet untuk anda dan menyediakan laluan pulang, dan itu dasar pada penyedia, bukan tetapan pada penghala anda. Menu yang hanya menawarkan mod pelayan tidak dapat membina perkhidmatan keluar ini, walau bagaimana ia dikonfigurasikan, dan penyedia yang hanya menyokong pautan antara tapak boleh menyambung terowong dengan jayanya tetapi membuang semua yang anda hantar melaluinya.
Seterusnya periksa bagaimana terowong mengendalikan DNS. Jika profil menolak penyelesai, penghala patut menyerahkan penyelesai itu kepada klien hiliran; jika tidak, klien terus menggunakan penyelesai penyedia dan menyelesaikan nama di luar terowong walaupun paket masuk ke dalam. Pemeriksaan pantas daripada komputer riba yang bersambung: alamat yang anda lihat pada halaman gema IP patut menjadi pintu keluar, dan alamat penyelesai yang digunakan patut yang dibekalkan oleh terowong.
Mod pelayan: orang lain datang ke LAN anda
Mod pelayan membalikkan arah. Penghala mendengar, peranti yang mengembara bersambung, dan kemudian penghala memutuskan sumber rumah mana yang boleh dicapai oleh sambungan itu. Inilah peranan yang anda mahu untuk NAS, mesin makmal atau pencetak, dan ia mempunyai prasyarat yang tiada pada peranan klien: sesuatu dari luar mesti dapat mencapai pendengar.
Prasyarat itulah tempat kebanyakan pemasangan rumah tersekat. Jika penghala berada di belakang get laluan penyedia sendiri, port VPN perlu dimajukan dari get laluan itu, atau penghala perlu diletakkan dalam mod jambatan atau DMZ. Di belakang NAT gred pembawa tiada langsung port masuk untuk dimajukan, jadi reka bentuk perlu berubah: terowong keluar dari penghala ke geganti, titik akhir yang dihoskan atau produk mesh. Pelayan yang tidak dapat dicapai bukan salah dikonfigurasikan, ia tidak dapat dicapai.
Identiti juga berbeza mengikut peranan. Profil klien isi rumah yang menghantar semuanya ke pintu keluar berbayar ialah satu rahsia bersama, manakala pelayan yang menerima tiga telefon dan satu komputer riba memerlukan empat identiti yang boleh anda batalkan secara berasingan. Sijil dan kunci adalah bagi setiap peranti, dan halaman eksport penghala patut memberi anda satu fail bagi setiap peranti dan bukannya satu fail untuk seluruh rumah.
Periksa pelaksanaan sebenar sebelum anda komited
Dokumentasi Netgate tentang memilih peranan VPN memisahkan peranan dengan cara ini, dan elok membaca halaman setara untuk firmware anda daripada meneka daripada nama tab. Cari tiga fakta konkrit: protokol apa yang boleh dituturkan oleh klien, sama ada pelayan menyokong protokol yang digunakan peranti anda, dan sama ada dasar penghalaan meliputi alamat sumber, keseluruhan antara muka atau tiada langsung.
Kemudian lihat sempadan sokongan. Penghala pengguna dengan tab klien tetapi tiada senarai dasar akan menghantar setiap peranti melalui terowong, yang sesuai untuk kotak penstriman dan salah untuk komputer riba kerja yang memerlukan terowong pejabat. Penghala dengan tab pelayan tetapi satu profil dikongsi ialah alat makmal yang munasabah dan pilihan buruk untuk keluarga, kerana membatalkan satu peranti bermakna mengubah konfigurasi semua orang.
Pilih peranan berdasarkan dari mana trafik bermula
| What you want | Role | What must be true |
|---|---|---|
| Household devices exit through a paid VPN | client | provider profile plus a working return path |
| Reach a NAS while travelling | server | reachable listener and per-device identities |
| Join two sites permanently | either, as a site-to-site pair | matching protocols and non-overlapping subnets |
| Only one laptop needs the tunnel | neither | run the client on the laptop instead |
Lalui baris yang dipilih dari awal hingga akhir sebelum anda mengubah apa-apa lagi. Aktifkan peranan itu, sambungkan satu klien, sahkan alamat yang ia muncul, sahkan penyelesai mana yang digunakan, dan sahkan laluan pulang ke arah bertentangan. Jika penghala juga mempunyai halaman tembok api, periksa bahawa antara muka baharu tidak disekat oleh peraturan lalai yang ditulis ketika terowong belum wujud.
Apabila kedua-dua peranan tersedia dan keperluannya benar-benar kedua-duanya, jalankan sebagai ciri berasingan dengan dokumentasi berasingan. Satu penghala boleh mendail keluar untuk televisyen dan menerima sambungan telefon ke NAS pada masa yang sama, tetapi kedua-dua dasar tidak boleh berkongsi subnet, tetapan DNS atau zon tembok api, atau perubahan pertama yang anda buat untuk satu akan merosakkan yang lain.